Spring Boot 参数校验 Validation 使用

概述

当我们想提供可靠的 API 接口，对参数的校验，以保证最终数据入库的正确性，是必不可少的活。前、后端校验都是保证参数的准确性的手段之一，前端校验并不安全，任何人都可以通过接口来调用我们的服务，就算加了一层token的校验，有心人总会转空子，来传各式各样错误的参数，如果后端不校验，导致数据库数据混乱。传统的方式使用if-else进行参数校验太太繁琐了，如果有几十个字段要校验,那这个方法里面将会变得非常臃肿,实在不够优雅。

虽然使用if else进行参数校验可以实现基本的校验功能，但是这种方式存在以下几个问题：

1. 代码冗余：如果需要对多个接口进行参数校验，就需要在每个接口中编写相同的校验逻辑，代码冗余，维护成本高。
2. 可读性差：如果校验逻辑比较复杂，那么使用 if else 进行校验的代码可读性较差，不利于代码的维护和优化。
3. 安全性差：如果使用 if else 进行校验，那么恶意用户可能会利用漏洞绕过校验，从而导致安全问题。

因此，使用参数校验框架可以有效地解决上述问题，具有以下几个优点：

1. 简化代码：使用参数校验框架可以简化校验逻辑，减少代码冗余，提高代码的可读性和可维护性。
2. 提高安全性：参数校验框架可以避免参数注入、SQL 注入、XSS 攻击等安全问题，提高系统的安全性和可靠性。
3. 提高效率：使用参数校验框架可以提高开发效率，减少开发时间和成本，并且可以方便地进行扩展和定制。

总之，使用参数校验框架可以有效地提高系统的安全性、可靠性和可维护性，减少代码冗余，提高开发效率，是开发过程中不可或缺的一部分。

为什么要使用 Spring Validation 权限校验框架？

有哪些参数校验框架呢？

以下是几个常用的参数校验框架：

1. Hibernate Validator ：Hibernate Validator 是一个基于 Bean Validation 标准的参数校验框架，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

2. Spring Validation ：Spring Validation 是 Spring 框架提供的参数校验框架，基于 Bean Validation 标准，可以实现对 Java Bean 属性和方法参数的校验，支持多种校验注解和自定义校验规则。

3. Apache Commons Validator ：Apache Commons Validator 是一个通用的参数校验框架，支持多种校验规则和自定义校验规则，可以实现对字符串、数字、日期等数据类型的校验。

4. JSR-303 ：JSR-303 是 Java EE 6 中定义的 Bean Validation 标准，提供了一套参数校验规范和 API，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

5. Bean-Validation：Bean-Validation 是一款轻量级的参数校验框架，基于 JSR-303 标准，可以实现对 Java Bean 属性的校验，支持多种校验注解和自定义校验规则。

这些框架都可以实现对参数的校验，提供了一套完整的校验规范和 API ，可以有效地避免非法参数和恶意攻击，提高系统的安全性和可靠性。根据不同的业务需求和技术栈，可以选择不同的框架进行参数校验。

为什么使用 Spring Validation ？

1. 基于 Bean Validation 标准：Spring Validation 是基于 Bean Validation 标准的参数校验框架，可以实现对 Java Bean 属性和方法参数的校验，提供了一套完整的校验规范和 API，可以很方便地进行扩展和定制。

2. 支持多种校验注解：Spring Validation 支持多种校验注解，比如 @NotNull、@Size、@Min、@Max 等，可以满足不同的校验需求，同时也支持自定义校验注解。

3. 集成方便：Spring Validation 是 Spring 框架提供的参数校验框架，与 Spring 框架集成非常方便，可以通过简单的配置实现参数校验。

4. 可扩展性强：Spring Validation 提供了很好的扩展性，可以自定义校验注解和校验器，满足不同的校验需求。

5. 可读性高：Spring Validation 的校验注解非常简洁明了，代码可读性高，可以很方便地查看和维护校验逻辑。

总之，使用 pring Validation 参数校验框架可以提高代码的可读性和可维护性，减少代码冗余，提高开发效率，同时还可以有效地避免非法参数和恶意攻击，提高系统的安全性和可靠性。

1、SpringBoot之validation

1.1 validation注解说明

validation 包下其它常用的校验注解：

注意： 字段上面的注解千万不要用错了，不然会报内部错误

1.2 @Valid和@Validated区别

@Valid（javax.validation包下） 和 @Validated（org.springframework.validation.annotation包下）注解。两者大致有以下的区别：

绝大多数场景下，我们使用 @Validated 注解即可。而在有嵌套校验的场景，我们使用 @Valid 注解添加到成员属性上。

@Valid

• 来源：@Valid 是 JSR-303/JSR-349 Bean Validation API 的一部分，该 API 被广泛称为 Bean Validation 或 Hibernate Validator（尽管 Hibernate Validator 是该 API 的一个流行实现）。
• 使用场景：它通常用于方法级别的参数验证，如 Spring MVC 控制器中的方法参数。
• 功能：触发方法参数或返回类型的验证。在 Spring MVC 中，它会自动触发 Spring 的数据绑定和验证机制。
• 限制：默认情况下，@Valid 不能用在类型级别（如类级别）进行组验证，尽管可以通过一些配置或自定义逻辑来实现。

@Validated

• 来源：@Validated 是 Spring Framework 提供的注解，用于扩展 @Valid 的功能。
• 使用场景：它不仅可以用于方法级别的参数验证，还可以用于类级别以支持组验证。
• 功能：除了基本的验证功能外，@Validated 还支持分组验证，允许你根据不同的上下文应用不同的验证规则。
• 分组验证：这是 @Validated 相对于 @Valid 的主要优势。通过定义不同的验证组，可以在不同的情况下应用不同的验证规则。

比较

• 基本功能：两者都用于触发 Bean 验证。
• 来源：@Valid 来自 JSR-303/JSR-349 Bean Validation API，而 @Validated 是 Spring 特有的。
• 分组验证：@Validated 支持分组验证，而 @Valid 不直接支持（尽管可以通过其他方式实现）。
• 使用场景：对于简单的验证场景，@Valid 通常就足够了。但是，如果你需要更复杂的验证逻辑，比如分组验证，那么 @Validated 是更好的选择。

结论

在大多数基本情况下，@Valid 和 @Validated 可以互换使用，因为它们都触发了 Bean 验证。然而，当你需要利用分组验证或其他 Spring 特有的验证功能时，@Validated 提供了更多的灵活性和控制。因此，在选择使用哪个注解时，你应该根据你的具体需求和上下文来决定。

基本使用

参数校验分为简单校验、嵌套校验、分组校验。

1.3 SpringBoot Validation 快速失败(failFast)

SpringBoot Validation 快速失败是指在使用Spring Boot进行参数校验时，当遇到第一个校验失败的情况时，立即停止后续的校验，并抛出异常。这种机制有助于减少不必要的资源消耗，并使得错误信息更加明确和易于处理。以下是关于SpringBoot Validation 快速失败的一些关键点和实现方式：

1、背景与问题

在使用Spring Boot进行开发时，通常会使用Hibernate Validator（或Spring的spring-boot-starter-validation）来进行参数校验。默认情况下，如果一个对象中有多个字段需要校验，并且这些字段使用了多个校验注解（如@NotNull、@Max等），Hibernate Validator会按顺序依次校验这些字段。如果某个字段校验失败，它不会立即停止校验，而是会继续校验其他字段，直到所有字段都被校验完毕。这可能会导致以下问题：

• 返回给前端的错误信息过多，不够明确。
• 浪费系统资源，因为不必要的校验操作仍在继续。

2、实现方式

为了解决上述问题，可以配置Hibernate Validator以启用快速失败模式（failFast）。这样，当遇到第一个校验失败时，就会立即停止后续的校验。以下是几种实现方式：

@Configuration
public class ValidatorConfig {

    // 第一种
    @Bean
    @ConditionalOnMissingBean(Validator.class)
    public LocalValidatorFactoryBean validator() {
        LocalValidatorFactoryBean factoryBean = new LocalValidatorFactoryBean();
        factoryBean.getValidationPropertyMap().put(BaseHibernateValidatorConfiguration.FAIL_FAST, Boolean.TRUE.toString());
        return factoryBean;
    }

    // 第二种
    @Bean
    public Validator validator(AutowireCapableBeanFactory springFactory) {
        try (ValidatorFactory factory = Validation.byProvider(HibernateValidator.class)
                .configure()
                // 快速失败
                .failFast(true)
                // 解决 SpringBoot 依赖注入问题
                .constraintValidatorFactory(new SpringConstraintValidatorFactory(springFactory))
                .buildValidatorFactory()) {
            return (Validator) factory.getValidator();
        }
    }

}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

1.4 validation实战

1、导入依赖

新建项目，导入以下依赖

    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>
        <dependency>
            <groupId>com.github.xiaoymin</groupId>
            <artifactId>swagger-bootstrap-ui</artifactId>
            <version>1.9.6</version>
        </dependency>
        <dependency>
            <groupId>io.swagger</groupId>
            <artifactId>swagger-annotations</artifactId>
            <version>1.6.1</version>
        </dependency>
        <dependency>
            <groupId>org.projectlombok</groupId>
            <artifactId>lombok</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-validation</artifactId>
        </dependency>
    </dependencies>
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28

2、创建工具类

在项目的根目录下面创建utils包，并在此包下面创建全局统一的返回结果对象Results类

/**
 * 用于返回
 * @param <T>
 */
@ApiModel("统一返回类")
public class Results<T> {
    public static final String ERROR = "500";
    public static final String SUCCESS = "200";

    /**
     * 返回码
     */
    @ApiModelProperty("返回码,正确码为：200")
    private String resCode ;

    /**
     * 返回消息
     */
    @ApiModelProperty("返回消息")
    private String msg ;

    /**
     * 返回实体
     */
    @ApiModelProperty("返回实体")
    private T obj;

    public static <T> Results<T> success(){
        return success(SUCCESS,"成功",null);
    }

    public static <T> Results<T> success(String msg){
        return success(SUCCESS,msg,null);
    }

    public static <T> Results<T> success(T obj){
        return success(SUCCESS,"成功",obj);
    }

    public static <T> Results<T> success(String msg,T obj){
        return success(SUCCESS,msg,obj);
    }

    public static <T> Results<T> success(String resCode,String msg,T obj){
        Results<T> result = new Results<T>();
        result.setResCode(resCode);
        result.setMsg(msg);
        result.setObj(obj);
        return result;
    }

    public static <T> Results<T> failed() {
        return failed(ERROR,"失败",null);
    }

    public static <T> Results<T> failed(String msg) {
        return failed(ERROR,msg,null);
    }

    public static <T> Results<T> failed(String msg,T obj) {
        return failed(ERROR,msg,obj);
    }

    public static <T> Results<T> failed(String resCode,String msg) {
        return failed(resCode,msg,null);
    }

    public static <T> Results<T> failed(Integer resCode,String msg) {
        return failed(String.valueOf(resCode),msg);
    }

    public static <T> Results<T> failed(String resCode,String msg,T obj) {
        Results<T> result = new Results<T>();
        result.setResCode(resCode);
        result.setMsg(msg);
        result.setObj(obj);
        return result;
    }

    public static <T> Results<T> failedNoPermission() {
        return failed(90005,"没有权限");
    }
    public static <T> Results<T> failedNoPermission(String msg) {
        return failed(90005,msg);
    }


    public static <T> Results<T> failedParameterException() {
        return failed(90004,"参数异常");
    }
    public static <T> Results<T> failedParameterException(String msg) {
        return failed(90004,msg);
    }

    public static <T> Results<T> failedLoginException() {
        return failed(90002,"登录失败");
    }
    public static <T> Results<T> failedLoginException(String msg) {
        return failed(90002,msg);
    }

    public String getResCode() {
        return resCode;
    }

    public void setResCode(String resCode) {
        this.resCode = resCode;
    }

    public String getMsg() {
        return msg;
    }

    public void setMsg(String msg) {
        this.msg = msg;
    }

    public T getObj() {
        return obj;
    }

    public void setObj(T obj) {
        this.obj = obj;
    }

    @Override
    public String toString() {
        return "Results{" +
                "resCode='" + resCode + '\'' +
                ", msg='" + msg + '\'' +
                ", obj=" + obj +
                '}';
    }
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134

3、创建全局异常处理类

在项目的根目录下面创建config包，并在此包下面创建全局统一的返回结果对象ExceptionControllerAdvice 类

• 缺少参数抛出的异常是MissingServletRequestParameterException

• 单参数校验失败后抛出的异常是ConstraintViolationException

• get请求的对象参数校验失败后抛出的异常是BindException

• post请求的对象参数校验失败后抛出的异常是MethodArgumentNotValidException

不同异常对象的结构不同，对异常消息的提取方式也就不同。

• ConstraintViolationException：单个参数校验失败（后端实际接收的一个字段）

• BindException：表单对象参数违反约束，仅对于表单提交有效（接收参数没有加@RequestBody注解），对于以json格式提交将会失效

• MethodArgumentNotValidException：JSON请求参数违反约束，为json格式有效（接收参数加上@RequestBody注解）

• MissingServletRequestParameterException：参数缺失

• MethodArgumentTypeMismatchException：请求参数的类型与处理器方法参数类型不匹配

• HttpMessageNotReadableException：请求体为空、无效的JSON格式、无法将JSON转换为目标对象

@RestControllerAdvice
public class ExceptionControllerAdvice {

    /**
     * BindException：表单对象参数违反约束，仅对于表单提交有效（接收参数没有加@RequestBody注解），对于以json格式提交将会失效
     * MethodArgumentNotValidException：JSON请求参数违反约束，为json格式有效（接收参数加上@RequestBody注解）
     * ConstraintViolationException：单个参数校验失败（后端实际接收的一个字段）
     * @param e
     * @return
     */
    @ResponseStatus(HttpStatus.OK)
    @ExceptionHandler(value = {BindException.class,ConstraintViolationException.class, MethodArgumentNotValidException.class})
    public Results MethodArgumentNotValidExceptionHandler(Exception e) {
        // 从异常对象中拿到ObjectError对象
        BindingResult br = null;
        if (e instanceof MethodArgumentNotValidException) {
            br = ((MethodArgumentNotValidException) e).getBindingResult();
        } else if (e instanceof BindException) {
            br = ((BindException) e).getBindingResult();
        } else if (e instanceof ConstraintViolationException) {
            Set<ConstraintViolation<?>> violations = ((ConstraintViolationException) e).getConstraintViolations();
            if (CollectionUtils.isEmpty(violations)) {
                return Results.failed(String.valueOf(500));
            }
            Map<String, String> map = violations.stream()
                    .collect(Collectors.toMap(o -> {
                        PathImpl x = (PathImpl) o.getPropertyPath();
                        return x.getLeafNode().toString();
                    }, ConstraintViolation::getMessage, (k1, k2) -> k1));
            return Results.failed(400,map.toString());
        }
        if (br.hasFieldErrors()) {
            List<FieldError> fieldErrorList = br.getFieldErrors();
            List<String> errors = new ArrayList<>(fieldErrorList.size());
            for (FieldError error : fieldErrorList) {
                errors.add(error.getField() + ":" + error.getDefaultMessage());
            }
            // 然后提取错误提示信息进行返回
            return Results.failed(400,errors.toString());
        }
        // 然后提取错误提示信息进行返回
        return Results.failed("校验错误");
    }
    
}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45

4、创建实体类

在项目的根目录下面创建model包，并在此包下面创建全局统一的返回结果对象User类

@Data
public class User {

    @NotNull(message = "用户名不能为空")
    @Size(min = 5, max = 20, message = "用户名长度必须在5到20之间")
    private String username;

    @NotNull(message = "姓名不能为空")
    private String name;

    @NotNull(message = "年龄不能为空")
    @Min(value = 18, message = "年龄必须大于18")
    private Integer age;

    @Email(message = "邮箱格式不对")
    private String email;
    
    @NotEmpty(message = "爱好不能为空")
    private List<String> hobbies;

}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

5、创建视图层Controller

在项目的根目录下面创建controller包，并在此包下面创建全局统一的返回结果对象TestController类

@Validated // 单/多个参数校验需要加的注解，不加参数校验不生效
@RestController
public class TestController {

        // 会进入到MethodArgumentNotValidException异常处理方法
    @PostMapping("/post")
    public Results post(@RequestBody @Validated User user) {
        try {
            return Results.success(user);
        } catch (Exception e) {
            return Results.failed();
        }
    }

    // 多个参数校验需要在controller类上面添加@Validated注解(会进入到ConstraintViolationException全局异常方法里面)
    @GetMapping("/getConstraint")
    public Results getConstraint(@NotBlank(message = "姓名不能为空") String name, @NotNull(message = "年龄不能为空")
    @Min(value = 18, message = "年龄必须大于18") Integer age) {
        try {
            return Results.success();
        } catch (Exception e) {
            return Results.failed();
        }
    }

    // 会进入到BindException异常处理方法
    @GetMapping("/getBindException")
    public Results getBindException(@Validated User user) {
        try {
            return Results.success(user);
        } catch (Exception e) {
            return Results.failed();
        }
    }

    // 自定义BindException异常，会进入到BindException异常处理方法
    @PostMapping("/testBindException")
    public Results testBindException(@RequestBody @Valid User user, BindingResult bindingResult) {
        try {
            // 检查验证结果
            if (bindingResult.hasErrors()) {
                // 手动抛出BindException，触发异常处理
                throw new BindException(bindingResult);
            }
            return Results.success(user);
        } catch (Exception e) {
            return Results.failed();
        }
    }

}
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51

6、测试结果

post方法

getConstraint方法

getBindException方法

1.5 分组校验

使用方式(示例说明)

准备工作：自定义两个分组。

提示： 继承Default并不是必须的。只是说，如果继承了Default，那么@Validated(value = Create.class)的校验范畴就
为【Create】和【Default】；如果没继承Default，那么@Validated(value = Create.class)的校验范畴只
为【Create】，而@Validated(value = {Create.class, Default.class})的校验范畴才为【Create】和【Default】。

注： Default组和无参构造机制类似，当没有指定分组时，会默认当前校验属于Default组,但是一旦主动给当前校验指定
了分组(如上图中的name字段，主动指定了属于Create组)，那么就不会再额外指定属于Default组了。
追注：当然，也可以画蛇添足的主动指定所属分组为Default。

1、在User类里面添加以下内容

    @NotBlank(message = "密码不能为空",groups = {Add.class})
    private String password;

    @NotNull(message = "id不能为空",groups = {Update.class})
    private Integer id;

    public interface Update {
    }
    public interface Add extends Default {
    }
1
2
3
4
5
6
7
8
9
10

2、在controller里面添加以下内容

    @PostMapping("/addUser")
    public Results addUser(@Validated(User.Add.class) @RequestBody User uer) {
        try {
            return Results.success();
        } catch (Exception e) {
            return Results.failed();
        }
    }

    @PostMapping("/updateUser")
    public Results updateUser(@Validated(User.Update.class) @RequestBody User user) {
        try {
            return Results.success();
        } catch (Exception e) {
            return Results.failed();
        }
    }
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

3、测试

addUser方法

updateUser方法

1.6 多级嵌套模型的校验

1、在model下面创建用户相关的类

Address 类

@Data
public class Address {
    @NotBlank(message = "城市不能为空",groups = {User.Add.class})
    private String city;
    @NotBlank(message = "城市编码不能为空",groups = {User.Add.class})
    private String zipCode;
}
1
2
3
4
5
6
7

UserProfile 类

@Data
public class UserProfile {
    @NotBlank(message = "个人简介不能为空",groups = {User.Add.class})
    private String bio;
    @NotBlank(message = "头像URL不能为空",groups = {User.Add.class})
    private String avatarUrl;
    @NotBlank(message = "社交媒体链接不能为空",groups = {User.Add.class})
    private String linkedinUrl;
}
1
2
3
4
5
6
7
8
9

2、在User类里面添加以下内容

  	@Valid
    private Address address;

    @Valid
    private UserProfile userProfile;
1
2
3
4
5

3、测试

addUser方法

非常感谢以下博主：

https://blog.csdn.net/weixin_51262499/article/details/129910551

https://blog.csdn.net/csdnzhang365/article/details/129141189

https://blog.csdn.net/justry_deng/article/details/86571671